admin/codex-app-server
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
677 Commits 13 Branches 0 Tags
a859d731d543f82f4135fa369311828190a2d71a
Commit Graph
5 Commits
Author SHA1 Message Date
host a859d731d5 fix(chv-hybrid): p2 第三轮：attach 轮询等挂盘落地 + detach 走 sudo 窄规则 umount
ci / test (push) Failing after 47m51s
Details 
第 2 轮复测（0dc8328）p2 仍 FAIL 的两处根因：
1. 挂盘时序竞态：add-disk 返回 06:59:10，root hotplug 路径
   （cloud-init-hotplugd → cloud-final runcmd → chv-data-mount）
   06:59:14–16 才挂上；旧 attach 以 chv 调 chv-data-mount 并判
   rc==0，但 /dev/vd? 属 root:disk、chv 的 blkid/mkfs 必败，
   脚本又静默 exit 0，rc 检查是空洞的成功假象。
2. 卸载权限：挂载是 root 做的，chv 的 plain umount 恒 rc=32
   must be superuser，release 按现写法永远失败、VM 留置。

修法选 (a) 轮询，不选 (b) root 特权挂载：挂盘本身已有 root
路径在跑，host 侧不另开新的 root 挂载通道（新特权面只扩
攻击面）；轮询以 chv 只读判定挂载态，零新增特权。
- attach：删 chv 调 chv-data-mount，改为轮询 mountpoint -q
  /home/chv/workspace && test -w（默认 60 秒/2 秒，可经
  CHV_DATA_MOUNT_TIMEOUT_SECONDS / CHV_DATA_MOUNT_INTERVAL_SECONDS
  注入短值）；超时记 data_disk_mount_timeout 审计并抛同名
  kind，不写归属标记。attach 返回成功 = 挂盘真实发生。
  resume_seconds 因此真实包含挂盘等待（§2.1 口径），≤2 秒
  目标不改口径、不改目标。
- detach：改走 sudo -n /usr/bin/umount /home/chv/workspace；
  失败即 False，release 留置 VM 不回收（fail-closed）。
- chv-data-mount.sh：盘已找到后 mkfs/mount 失败改 exit 1
  （原全部失败路径 exit 0）；无盘仍 exit 0（启动期 no-op，
  不挡 boot）。本脚本只由 root 跑（service/runcmd）。
- build.sh：apt 加 sudo；写 /etc/sudoers.d/chv-data-umount
  窄规则（chv 仅能以 root 跑 umount /home/chv/workspace
  这一条精确 argv，NOPASSWD，无 shell/其它命令/挂载权），
  0440 + visudo -cf 作构建门；buildinfo/lockfile 登记
  sudo 与 chv-data-umount。

特权边界：本轮唯一新增提权面就是上述一条 sudoers 规则；
attach 零提权（只读轮询），挂载权仍只在 root 的
hotplug/service 路径手里。旧镜像（无 sudo/无规则）上
detach 返回 False、release 留置，须重建镜像才恢复回收。

测试：新增 10 项（attach 等三次轮询才成功、超时 loud 失败、
永不以 chv 调 chv-data-mount、detach 精确 sudo argv、
sudo 失败 False、卸载失败 release 留置、客机脚本 exit 码、
build.sh sudo/窄规则/buildinfo 登记）；另修 2 处旧断言
（attach 不再调挂载脚本）与 stage4 lockfile 夹具（补 sudo
dpkg 条目），并把 attach 热插段抽为 _hotplug_tenant_disk
（50 行函数上限）。全量 Ran 4688，OK (skipped=15，均为
环境 skip：无 PG DSN/驱动、缺 SearXNG_URL、fallback state
文件在位）。
 2026-11-09 08:17:01 +00:00
host 6466ea6024 feat(chv): 阶段 5 多会话并行——具名会话独立 context + storage-state 落盘 + execd 组杀 2026-11-08 09:45:00 +00:00
host eb495892e1 fix(chv): 阶段 3 live 根因——浏览器 socket 与数据盘 profile 的两处权限 
- /run/chv 0755 root:root 时 chv-browser 建 browser.sock 报
  PermissionError、服务无限 crash-loop（P2 遗留，阶段 2 从未验
  过 browser.sock）：tmpfiles 改 0775 root:chv-browser。
- /home/chv 默认 0750，chv-browser 穿不过家目录，ismount 判假、
  profile 静默回落本机盘：chv-data-mount 挂载成功后 chmod 0751
  /home/chv（只放行穿过，不放行列表）。
- 驱动：等 cloud-init done + 四服务 active 再验浏览器。
- 回归 97 项全过（新增 2 项接线断言）。
 2026-11-08 09:45:00 +00:00
host 1188e4b000 feat(chv): 阶段 3 浏览器服务化——持久 profile + CDP + 多会话 + JPEG 截图 + 双浏览器 
- chv-browser：launch_persistent_context，profile 固定数据盘
  /home/chv/workspace/.chv-browser-profile（未挂载回落本机盘并明说）；
  CDP --remote-debugging-port 9222（op cdp 返回 webSocketDebuggerUrl）；
  多会话每会话一页；截图 JPEG q70、viewport 宽封顶 1280、diff_only
  整帧相同跳过；mount_full/unmount_full 切 full/shell 引擎，full
  未装或起不来回落 shell 并明说。
- chv-data-mount：挂载后预建 profile 目录（chv-browser:chv-browser 0700）。
- build.sh：chv-browser 单元 Restart=always、After cloud-final.service。
- chv-execd：codex 环境白名单加 CHV_BROWSER_ 前缀。
- 测试：新增 test_chv_opt_stage3.py（20 项）；P2 假实现改为持久
  上下文 + JPEG；stage2 的 Restart=always 计数 3→4。
- 全量回归 2032 过 skipped=8。
 2026-11-08 09:45:00 +00:00
host a5f836e9fd feat(chv-guest): 阶段 1 数据盘独立持久（客内挂载） 
- 新增 chv-guest/chv-data-mount.sh：按 LABEL=CHVDATA 找盘
  （不依赖 /dev/vd? 固定名；seed ISO 与根盘排除），无 fs
  即 mkfs.ext4 -L CHVDATA，挂到 /home/chv/workspace，幂等；
  无数据盘即静默退出 0（copy 模式旧 VM 不报错）。
- build.sh：缺脚本即失败（与 chv-sync.sh 同款门）；拷入
  镜像 /usr/local/bin/chv-data-mount；99-chv-sync.cfg
  runcmd 在 chv-sync boot 之前调它（工作区先挂好再 clone）。
- buildinfo.py BASE_CONTENTS 与两 lockfile DECLARED_SOURCES
  登记 chv-data-mount（repo_commit，随 P2 三脚本先例）。
- tests：test_chv_opt_stage1.DataMountScriptTest（脚本内容、
  构建接线、lockfile 登记）；P2 干跑夹具补新文件。
回归：discover test_chv_*.py 与 test_cloud_hypervisor.py 全过。
不推、不合、不部署；只本地分支。
 2026-11-08 09:45:00 +00:00